Identity as a Service：Agent 身份註冊認證配置指南

核心價值

• 統一身份管理：為每個 Agent 分配全域唯一的 Agent ID，實現身份可識別、可追溯、可審計。

• 零靜態密鑰：通過聯邦信任源，Agent 代碼中無需嵌入任何長期有效靜態憑據。

• 跨平台適配：支援阿里雲、AWS、Azure、GCP 等雲廠商及本地 IDC 等多種運行環境。

• 動態憑據管理：運行時僅擷取短期、受限的臨時憑證，憑據分發全程受控。

前置條件

• 已開通阿里雲 IDaaS EIAM 企業版或試用版執行個體。

• 擁有 EIAM 執行個體的管理員權限。

註冊 Agent 身份

1. 進入 IDaaS EIAM 控制台。

2. 單擊 Agent身份安全 > 注册Agent身份。

3. 在彈出的配置面板中，完成以下 Agent 基本資料配置：

   • 修改Agent名称。

   • 編輯負責人。

   • 展開认证类型地區，添加對應的認證方式（詳見下方「配置認證方式」章節）。

4. 單擊确定儲存。註冊成功後，可在 Agent 身份安全列表中看到建立的 Agent 記錄。

Client Secret 憑證配置

1. 進入 IDaaS EIAM 控制台。

2. 單擊 Agent身份安全，進入 Agent 身份安全列表頁。

3. 選擇目標 Agent 並開啟，在 Agent 詳情頁，單擊頁面下方流程圖中的 Agent 模組。

4. 在彈出的對話方塊中的通用配置頁簽，找到认证管理地區，選擇 Client Secret凭证頁簽，單擊添加 client_secret。

開發接入流程

以下以本地採用 Java 語言通過 Client Secret 憑證認證為例說明。

完成認證方式配置後，在 Agent 通用配置頁面選擇 Client Secret凭证，單擊生成SDK配置，擷取以下 JSON 配置：

{
  "idaasInstanceId": "idaas_test",
  "clientId": "app_test",
  "issuer": "https://test.aliyunidaas.com/api/v2/iauths_system/oauth2",
  "tokenEndpoint": "https://test.aliyunidaas.com/api/v2/iauths_system/oauth2/token",
  "scope": "urn:cloud:idaas:pam|.all",
  "developerApiEndpoint": "eiam-developerapi.${region_id}.aliyuncs.com",
  "authnConfiguration": {
    "identityType": "CLIENT",
    "authnMethod": "CLIENT_SECRET_POST",
    "clientSecretEnvVarName": "IDAAS_CLIENT_SECRET"
  }
}

將設定檔儲存至本地預設路徑：

~/.cloud_idaas/client-config.json

複製 client_secret 並配置環境變數：

export IDAAS_CLIENT_SECRET=CSBppDAeLzvAY1HQhpRnjxxx

準備 Java 認證的 Core SDK，採用 Agent 身份認證的程式碼範例如下：

import com.cloud_idaas.core.factory.IDaaSCredentialProviderFactory;
import com.cloud_idaas.core.provider.IDaaSCredentialProvider;

public class sample {

  public static void main(String[] args) {
    // 通過設定檔初始化 IDaaS 的配置
    IDaaSCredentialProviderFactory.init();

    // 無參構造方法擷取 IDaaS credentialProvider，擷取訪問設定檔中指定的 scope 的 Access Token
    IDaaSCredentialProvider credentialProvider = IDaaSCredentialProviderFactory.getIDaaSCredentialProvider();
    String accessToken = credentialProvider.getBearerToken();

    // 有參構造方法擷取 IDaaS credentialProvider，擷取訪問自行指定的 scope 的 Access Token
    // String scope =  "api.example.com|read:file";
    // IDaaSCredentialProvider anotherCredentialProvider = IDaaSCredentialProviderFactory.getIDaaSCredentialProvider(scope);
    // String accessToken = anotherCredentialProvider.getBearerToken();

    System.out.println("Access Token: " + accessToken);
  }
}

擷取 Agent 認證 Token 後，即可以 Agent 身份調用服務。

其他相關 SDK 語言支援，參見SDK 文檔。

完整的 Agent 接入 Demo 範例可參考 idaas-java-agent-id-demo。

認證方式選型建議

以上介紹了 Client Secret凭证 的配置方法。此外，Agent 還支援以下認證方式，可根據實際情境按需選擇：

其它認證方式配置